JWT hay session lưu ở server — chọn cái nào, và JWT thu hồi bằng cách nào?

Lý do thật để chọn JWT không phải hiệu năng mà là ranh giới tin cậy: khi nhiều dịch vụ độc lập cần xác minh danh tính mà không gọi về một dịch vụ trung tâm, chữ ký cho phép mỗi bên tự kiểm tra. Với một monolith nói chuyện với một database, lợi ích đó bằng không và bạn chỉ nhận về phần khó của việc thu hồi.

Về cài đặt, hai lỗ hổng kinh điển đáng nhớ. Một là chấp nhận alg: none — token không có chữ ký nhưng thư viện vẫn coi là hợp lệ; phòng bằng cách chỉ định thuật toán cứng khi xác minh thay vì đọc từ header. Hai là nhầm lẫn giữa thuật toán đối xứng và bất đối xứng: kẻ tấn công lấy khoá công khai RSA rồi ký token bằng HMAC với chính khoá đó, và server nếu tin header sẽ xác minh thành công.

Chỗ lưu token cũng là một quyết định bảo mật riêng. localStorage bị XSS đọc được; cookie HttpOnly thì không, nên một XSS chỉ hành động được thay người dùng chứ không mang token đi nơi khác. Với cookie thì thêm SameSite=Lax và Secure. Nhiều người coi đây là chi tiết triển khai, nhưng nó quyết định hậu quả của một lỗ hổng khác — và đó chính là điều người phỏng vấn muốn nghe.